#找回密码逻辑：集成 Flask-Mail 发送验证邮件

# app/extensions.py
from flask_mail import Mail

mail = Mail()

# app/__init__.py
from flask import Flask
from dotenv import load_dotenv
import os
from app.extensions import mail

load_dotenv()

def create_app():
    app = Flask(__name__)

    app.config["SECRET_KEY"] = os.getenv("SECRET_KEY")

    # Flask-Mail 核心配置
    app.config["MAIL_SERVER"] = "smtp.gmail.com"
    app.config["MAIL_PORT"] = 587
    app.config["MAIL_USE_TLS"] = True          # Gmail 强制要求 TLS
    app.config["MAIL_USERNAME"] = os.getenv("MAIL_USERNAME")   # 你的 Gmail 地址
    app.config["MAIL_PASSWORD"] = os.getenv("MAIL_PASSWORD")   # Gmail 应用专用密码
    app.config["MAIL_DEFAULT_SENDER"] = ("道满博客", os.getenv("MAIL_USERNAME"))

    mail.init_app(app)   # 延迟绑定

    return app

# app/utils/token.py
from itsdangerous import URLSafeTimedSerializer, BadData
from flask import current_app

class PasswordResetTokenManager:
    """密码重置专属 Token 管理器"""
    SALT = "password-reset-salt-v1"   # 盐值带版本号，方便以后升级
    DEFAULT_EXPIRATION = 3600         # 1 小时后过期

    @classmethod
    def generate(cls, email: str) -> str:
        serializer = URLSafeTimedSerializer(current_app.config["SECRET_KEY"])
        return serializer.dumps(email, salt=cls.SALT)

    @classmethod
    def verify(cls, token: str, expiration: int | None = None) -> str | None:
        """验证成功返回绑定的邮箱，否则返回 None"""
        if expiration is None:
            expiration = cls.DEFAULT_EXPIRATION

        serializer = URLSafeTimedSerializer(current_app.config["SECRET_KEY"])
        try:
            return serializer.loads(token, salt=cls.SALT, max_age=expiration)
        except BadData:   # 签名错误、过期、盐不匹配都会抛出 BadData
            return None

# app/routes/auth.py
from flask import Blueprint, render_template, redirect, url_for, flash
from flask_mail import Message
from app.extensions import mail, db
from app.models.user import User
from app.forms.auth import ForgotPasswordForm, ResetPasswordForm
from app.utils.token import PasswordResetTokenManager
from datetime import datetime

auth_bp = Blueprint("auth", __name__, url_prefix="/auth")

@auth_bp.route("/forgot-password", methods=["GET", "POST"])
def forgot_password():
    form = ForgotPasswordForm()
    if form.validate_on_submit():
        user = User.query.filter_by(email=form.email.data.lower()).first()

        if user:
            # 1. 生成 Token
            token = PasswordResetTokenManager.generate(user.email)
            # 2. 构造外部可访问的完整 URL
            reset_url = url_for("auth.reset_password", token=token, _external=True)
            # 3. 发送纯文本 + HTML 双格式邮件
            msg = Message(
                subject="【道满博客】紧急：您的密码重置请求",
                recipients=[user.email],
                body=f"""
您好，{user.username or user.email.split('@')[0]}：

我们于 {datetime.now().strftime('%Y-%m-%d %H:%M:%S UTC')} 收到了您对道满博客账户「{user.email}」的密码重置请求。

请在 1 小时内点击以下链接设置新密码：
{reset_url}

⚠️ 如果这不是您本人的操作，请**立即忽略此邮件**，您的账户密码不会被修改，账户安全也不会受到影响。

如有疑问，请联系 support@daoman.blog

—— 道满博客安全团队
                """,
                html=f"""
<p>您好，{user.username or user.email.split('@')[0]}：</p>
<p>我们于 <strong>{datetime.now().strftime('%Y-%m-%d %H:%M:%S UTC')}</strong> 收到了您对道满博客账户「{user.email}」的密码重置请求。</p>
<p>请在 1 小时内点击以下链接设置新密码：</p>
<p><a href="{reset_url}" style="background:#4CAF50;color:white;padding:10px 20px;text-decoration:none;border-radius:4px;display:inline-block;">立即重置密码</a></p>
<p>如果链接无法点击，请复制到浏览器地址栏打开：<br>{reset_url}</p>
<hr>
<p>⚠️ 如果这不是您本人的操作，请<strong>立即忽略此邮件</strong>，您的账户密码不会被修改，账户安全也不会受到影响。</p>
<p>如有疑问，请联系 <a href="mailto:support@daoman.blog">support@daoman.blog</a></p>
<p>—— 道满博客安全团队</p>
                """
            )
            mail.send(msg)

        # 无论用户是否存在都返回相同提示，防止邮箱枚举
        flash("如果该邮箱已注册，我们已发送带有重置链接的邮件，请查收。", "info")
        return redirect(url_for("auth.login"))

    return render_template("auth/forgot_password.html", form=form)

@auth_bp.route("/reset-password/<token>", methods=["GET", "POST"])
def reset_password(token):
    # 第一步：校验 Token
    email = PasswordResetTokenManager.verify(token)
    if not email:
        flash("重置链接已过期或无效，请重新申请密码重置。", "danger")
        return redirect(url_for("auth.forgot_password"))

    # 第二步：防止 Token 有效但用户已被删除的极端情况
    user = User.query.filter_by(email=email.lower()).first()
    if not user:
        flash("该账户不存在，请检查您的注册邮箱或重新注册。", "danger")
        return redirect(url_for("auth.register"))

    form = ResetPasswordForm()
    if form.validate_on_submit():
        # 第三步：更新密码（setter 中已经包含自动哈希的逻辑）
        user.password = form.new_password.data
        user.updated_at = datetime.utcnow()
        db.session.commit()

        flash("密码重置成功！请使用新密码登录。", "success")
        return redirect(url_for("auth.login"))

    return render_template("auth/reset_password.html", form=form, token=token)